El hackeo de OpenCode expuso claves de IA de sus usuarios y algunos ya ven cargos que no hicieron

Un intruso entró la noche del viernes 16 de octubre en un sistema antiguo de OpenCode, un agente de programación con IA de código abierto, y pudo acceder a las claves de OpenAI, Anthropic y Google que algunos usuarios habían guardado en OpenCode Console. Console es el servicio web de pago de OpenCode, y es el que llama a los modelos de esas empresas en nombre de cada equipo. Según OpenCode, el problema afecta al 1,4% de los usuarios de Console, todos con un proveedor externo conectado, y todos han recibido un correo de aviso. Quien no lo haya recibido no está afectado.

Algunos afectados ya han encontrado cargos que no hicieron. Colin Parsons contó en X que, desde las 8:00 del sábado (hora peninsular), alguien gastó 281 dólares con su clave de OpenAI y 168 con la de Anthropic, según recoge The Latent, que cita también a Preston Zeller con unas pérdidas de 1.700 dólares. Otro usuario citado por Notebookcheck habla de unos 200 euros de consumo en Google y de un proyecto suspendido por abuso. Son relatos de los propios usuarios, y OpenCode no ha dado una cifra total.

Qué es una clave API y por qué permite gastar en tu nombre

Una clave API es una contraseña larga que un programa envía a OpenAI, Anthropic o Google cada vez que pide una respuesta a uno de sus modelos. El proveedor no comprueba quién la envía, solo que la clave sea válida, y en ese caso contesta y anota el consumo en la cuenta de su dueño. Ese consumo se mide en tokens, los fragmentos de texto que el modelo lee y escribe, y se cobra por cada millón. Por eso quien tiene una copia de la clave puede gastar a cargo del dueño hasta que alguien la anula o salta un límite de gasto.

Console guardaba estas claves en los servidores de OpenCode para que los miembros de un equipo pudieran usar los modelos sin llegar a verlas. Cuando alguien hace una petición, Console añade la clave antes de enviarla al proveedor, según su documentación. Ese almacén de claves es el que la empresa cree que pudo quedar expuesto.

Qué se sabe del ataque y qué no

OpenCode relacionó la intrusión con un «ataque de destilación a gran escala», sin explicar el vínculo. La destilación consiste en entrenar un modelo con las respuestas de otro más capaz, y eso exige millones de preguntas que alguien tiene que pagar. Con claves robadas, esa factura recae en sus dueños. TechCrunch señala que algunos escépticos ven un robo de credenciales corriente y que el uso para destilar no está demostrado.

La empresa no ha explicado cómo entró el atacante, cómo guardaba las claves ni cuántas personas suman ese 1,4%. Tampoco se sabe si se llegaron a usar todas las claves expuestas. El sábado, OpenCode dijo que el incidente seguía abierto.

Qué deben hacer los afectados

El correo de OpenCode, titulado «Action Required: Potential provider key breach», pide anular cada clave en el panel del proveedor y crear una nueva. Borrarla de Console no basta, porque la clave sigue funcionando en OpenAI, Anthropic o Google hasta que ellos la revocan, como explica The Hacker News. Después hay que poner la clave nueva en todas las aplicaciones y scripts que usaban la antigua y revisar el consumo de cada cuenta desde el 16 de octubre en busca de peticiones desconocidas.

Sobre los cargos, Anthropic y Google bloquearon las claves que creían expuestas, OpenAI devolverá a sus clientes de la API los créditos gastados en el ataque y OpenCode asegura que ya ha empezado a reembolsar los cargos no autorizados, según TechCrunch. A partir de ahora conviene poner un límite de gasto o una alerta en cada cuenta y usar una clave distinta para cada herramienta, de forma que una fuga se pueda cortar sin tocar el resto de claves.

Quien usa OpenCode en la terminal, el editor o la aplicación de escritorio sin pasar por Console no está afectado, según la empresa. Esas versiones guardan en el propio ordenador las claves que añade el usuario, y Dax Raad, cofundador de OpenCode, escribió que «esas claves nunca nos llegan». Como el fallo estaba en los servidores de Console, no hay una versión corregida que instalar.

La defensa chocó con los filtros de la IA

Los atacantes siguieron intentando entrar durante unas 48 horas, y el equipo de OpenCode puso agentes de IA a vigilar sus sistemas día y noche. Raad contó que los modelos comerciales dejaron de ayudar cuando el código malicioso que analizaban activaba sus filtros de seguridad, según TechCrunch. La situación mejoró cuando OpenAI les dio acceso a Daybreak Blue, su programa para equipos de seguridad verificados, que reduce esas negativas. Hugging Face se encontró con el mismo bloqueo en julio, cuando investigaba la intrusión de modelos de OpenAI en sus sistemas.